- ответит на вопрос точного времени появления файла на компе? Возможно ли это?
- определит то, что этот файл был образован на другом компьютере? По другим признакам, кроме совпадения имен.
...
А экспертиза восстановит только имя и содержание удаленного файла? Или дату и точное время его образования на компе тоже?
Суть вот в чем, чтобы доказать, что файл был мне записан через флэшку, а не наоборот, нужно будет установить время его появления на компе и на флэшке с точностью до получаса.
Комп и жесткий в данном контексте - неразрывное целое. А комп и флешка - нет. Вот посмотрят в метафайловой таблице время создания файла, сравнят со временем, записанным в атрибутах файла. Установят, что не изменялось (если слишком "умные" не меняли, конечно). Сделают это и для флешки, и для жесткого. Даже установят, что на флешке он появился раньше, чем на жестком, относительно времени исследуемого компьютра. А также установят, что на компьютере часы не переводились в это время. И это лишь докажет, что на флешку данные документы попали не напрямую с этого компьютера.
Они могли попасть с данного исследуемого компьютера каким-либо образом на второй компьютер с переведенной назад датой и оттуда уже скопированы на флешку. Так что нужно искать и исследовать также и второй комп, с которого документы скопированы на флешку. Иначе все может разлететься как карточный домик.
Определить, что файл был создан на другом компьютере, можно в случае с Word/Excell (вернее, под управлением другой операционной системой).
